Anthropic a publié il y a trois jours la première mise à jour chiffrée sur Project Glasswing. Les chiffres du titre remettent à zéro ce que chaque RSSI devrait faire ce trimestre.
En environ un mois d’usage par la coalition, Claude Mythos Preview a fait remonter plus de 10 000 vulnérabilités de gravité haute ou critique sur les logiciels les plus utilisés d’internet. Le taux de vrais positifs post-triage est de 90,6 %. Cloudflare seul a remonté environ 2 000 bugs, dont 400 hauts ou critiques. Mozilla a corrigé 271 vulnérabilités dans Firefox 150 — dix fois ce qui a été trouvé dans Firefox 148. wolfSSL, une bibliothèque de crypto tournant sur des milliards d’appareils, a vu un chemin de falsification de certificat identifié. Chez une banque partenaire, Mythos a prévenu en temps réel un virement frauduleux de 1,5 million de dollars. Le UK AI Security Institute a confirmé que Mythos complète de bout en bout des tâches cyber-range niveau expert de façon autonome.
Et la phrase que tout le monde cite :
« Le progrès en sécurité logicielle était limité par la vitesse à laquelle on pouvait trouver des vulnérabilités. Maintenant, il est limité par la vitesse à laquelle on peut les patcher — les mainteneurs nous demandent de ralentir parce qu’ils n’arrivent pas à patcher assez vite. »
Le post qui définit le couloir sur X cette semaine vient de @dannylivshits, ex-lead red team GenAI Meta : « 10 000 vulnérabilités critiques en 30 jours. 75 patchées. Ta nouvelle surface d’attaque vit dans le pipeline de patch. Planifie pour la fuite. Utilise les 90 prochains jours. » Ce cadrage — pipeline de patch comme nouvelle surface d’attaque — c’est celui que ton équipe AppSec va entendre de toutes les directions le reste de l’année.
Pour les RSSI français, il y a des couches réglementaires supplémentaires. La transposition NIS2 finalisée par le Code de la défense (décret 2024) durcit le standard du « état de l’art » pour l’identification de vulnérabilités. DORA pour le secteur financier (en vigueur depuis janvier 2025) demande aux entités financières de démontrer une gestion adéquate du risque ICT, incluant la veille sur les outils émergents d’évaluation. SecNumCloud pour le cloud souverain et HDS pour les données de santé ajoutent leurs propres exigences sur la maturité du SAST/SCA déployé. Le rapport Glasswing relève la barre du « raisonnablement disponible » qu’utilisent l’ANSSI, l’ACPR et la CNIL pour évaluer la diligence. « On ne savait pas » devient une réponse intenable dès le T3.
Voici la question d’achat que chaque RSSI, VP-AppSec, lead DevSecOps et architecte sécurité plateforme a sur la table dans le cycle budgétaire T3 : qu’est-ce qu’on fait avec ça ? Trois choix sont sur la table. Aucun n’est évident. Le SERP est plein d’articles explicatifs mais vide de tableau de décision. Voici le tableau de décision.
Le tableau de décision 3 choix
| Dimension | Choix 1 : Postuler à la liste d’attente partenaire Glasswing | Choix 2 : Déployer Claude Security en beta publique | Choix 3 : Attendre Mythos GA (juillet) et réévaluer |
|---|---|---|---|
| Temps au premier signal | 4-8 semaines avant la GA | Cette semaine | Après juillet-GA + 30-60 jours d’évaluation |
| Engagement | Partager les findings avec la coalition | API à l’usage + licences seat TBD | Aucun |
| Intégration avec SAST/SCA existant | Coordonné coalition ; variable | À côté de Snyk / Semgrep / CodeQL / GitHub Advanced Security | Décider post-GA |
| Risque faux positif | Vetté par coalition (90,6 % TP baseline) | Beta — attendre bruit + spike de fatigue alerte | Mitigé par SLA post-GA |
| Absorption volume patch | Élevé — coalition envoie du volume sérieux | Élevé — tu absorbes le saut 10x seul | Aucun jusqu’à déploiement |
| Posture réglementaire / audit | Ajoute attestation ; certaines orgs ont besoin de revue juridique | Beta software en prod régulée = risque | Posture défendable « on attendait la GA » |
| Coût sur 12 mois | Part coalition — engagement non-monétaire | $TBD ; prix Anthropic à l’usage | Aucun jusqu’à décision |
| Headcount requis | 1-2 ingés AppSec supp pour absorber le volume | 2-3 ingés minimum | 0 maintenant |
| Bon fit pour | F500 régulé, vendors sécurité, équipes AppSec matures | Équipes AppSec avec SCA mature en place | Orgs compliance-gated, équipes noyées dans le backlog existant |
| Risque de ne rien faire | Coalition se ferme autour de ~52 partenaires ; fenêtre rétrécit | Concurrents prennent 5-6 semaines d’avance en vuln-prévention | Trimestre de rattrapage post-GA |
Trois lignes méritent plus qu’une cellule.
Sur la ligne risque faux positif (4). Le taux de vrais positifs 90,6 % c’est la baseline coalition après triage humain — donc les équipes SOC partenaires absorbent le travail de triage. Quand Claude Security beta atterrit dans ton propre SDLC, toi tu absorbes le triage. Planifie pour 8-12 % de surcharge faux positif dans ta fenêtre initiale 30 jours, ce qui se traduit en vraies heures-ingé chaque jour si ta base de code est grande. La mitigation : stage le déploiement sur un ou deux services d’abord, instrumente le taux faux positif honnêtement, et n’expands qu’après que le coût revue-humaine-par-finding tombe sous un seuil acceptable.
Sur la ligne absorption volume patch (5). L’histoire de throttle mainteneur est le canari. Microsoft a déjà publiquement déclaré que les volumes de patch vont tendre plus gros un certain temps. Si ton équipe absorbe actuellement 50-100 vulnérabilités haute/critique par trimestre, prépare-toi à une augmentation 5-10x sous scan Mythos-class soutenu. Ce n’est pas un problème de tooling ; c’est un problème de headcount. La conversation avec le DAF appartient au cycle budgétaire FY27, pas FY28.
Sur la ligne risque-de-ne-rien-faire. « On ne savait pas » devient une défense audit plus faible rapidement. Une fois que Mythos GA atterrit en juillet et que la techno est largement disponible, le standard implicite de diligence pour ton programme sécurité monte d’un cran. Les régulateurs (ACPR, AMF, CNIL, ANSSI) et les avocats en action collective travaillent tous à reculons depuis ce qui était raisonnablement disponible.
Comment choisir : 5 questions à passer en revue avec ton équipe cette semaine
1. Quelle est votre vélocité de patch vulnérabilité critique actuelle ? Si vous patchez les vulnérabilités critiques en 14 jours actuellement, vous avez la capacité d’absorption pour considérer le Choix 2 (beta Claude Security) sérieusement. Si votre moyenne est 60+ jours, la séquence rationnelle c’est Choix 3 (attendre la GA) plus une conversation immédiate d’embauche sur la capacité d’absorption.
2. Votre stack AppSec existant est-il assez mature pour coexister avec un autre scanner ? Le output Mythos-class siège à côté de Snyk, Semgrep, CodeQL, GitHub Advanced Security, Checkmarx — pas en remplacement. Si votre équipe fait tourner actuellement 1 outil SAST et lutte, empiler Claude Security beta crée plus de volume d’alerte que votre process de triage ne peut gérer.
3. Avez-vous un environnement de production régulé qui interdit le software beta ? Banque, santé, défense, infrastructure critique ont typiquement des politiques écrites contre le déploiement de tooling beta contre du code de production. En France : le PGSSI-S pour la santé, les guides ANSSI pour les OIV, et le cadre DORA pour les services financiers exigent une évaluation formelle de risque pour tout software non-GA en production critique. SecNumCloud catégorise les niveaux de qualification. Si le Choix 2 est hors-jeu pour raisons de conformité, le Choix 1 (liste d’attente) et le Choix 3 (attendre GA) sont vos seules options.
4. Votre budget FY27 est-il verrouillé, ou y a-t-il un supplément T3 ? Les Choix 1 et 2 demandent tous deux du headcount AppSec pour absorber le volume de findings. Si votre budget FY27 est verrouillé et que votre DAF n’a pas d’appétit pour un supplémentaire, le Choix 3 est la seule réponse honnête.
5. Êtes-vous un vendor de sécurité ou un client d’un ? Les vendors de sécurité doivent postuler au Choix 1 sans condition — la position coalition est stratégique pour toute entreprise dont le produit chevauche la capacité de Mythos.
Le reframe « le pipeline de patch est la nouvelle surface d’attaque »
Le plus conséquent du cadrage de @dannylivshits, ce ne sont pas les chiffres. C’est que le modèle de menace s’est inversé. Pendant 25 ans, l’AppSec a assumé l’attaquant a un temps limité pour trouver une vulnérabilité ; le défenseur a des mois pour patcher. Project Glasswing inverse les deux moitiés.
Côté attaquant : tout adversaire sophistiqué a désormais accès à la capacité Mythos-class dans 12-18 mois (les équivalents open-source sont déjà en prototype ; les acteurs étatiques déploieront plus vite). Le temps-pour-trouver s’effondre de mois à jours.
Côté défenseur : le temps-pour-patcher est essentiellement inchangé. Le throughput mainteneur est humain-borné. Le triage AppSec interne est humain-borné. La fenêtre de déploiement patch — staging, test régression, CAB, push prod — est process-bornée.
L’implication RSSI : la fenêtre d’exposition devient la métrique qui compte. Pas le compte de vulnérabilités, pas la distribution de gravité, pas le mean-time-to-patch tout seul. Le chiffre à mettre sur le dashboard du board ce trimestre, c’est l’intervalle de temps entre quand une vulnérabilité critique dans notre code de prod est découvrable par un outil Mythos-class et quand notre patch est en prod. Tout ce qui dépasse 30 jours est désormais un risque structurel à fermer ou à documenter pourquoi tu ne peux pas.
Ce que ça veut dire pour toi
Si tu es RSSI dans une grande banque française régulée par ACPR ou dans une entité d’importance vitale
Choix 1 — postule à la liste d’attente Glasswing — cette semaine. Même si la beta en production est hors-jeu, la participation à la coalition elle-même est une posture défendable devant le régulateur. Tu documentes une adressage actif du risque sans déployer de code beta. En parallèle, lance la conversation headcount avec le DAF pour FY27.
Si tu es VP-AppSec dans une scale-up française à forte croissance
Choix 2 — Claude Security beta — démarrer sur 1-2 services non-critiques. La courbe d’apprentissage se rembourse une fois que Mythos GA est largement dispo. Mais sois honnête sur la charge de triage et planifie le headcount en conséquence.
Si tu es lead DevSecOps dans un SaaS français de 50-200 personnes
Choix 1 ou Choix 2, selon votre vélocité de patch. Sous 14 jours : Choix 2. Au-dessus : Choix 1 (liste d’attente) et au T3 travailler en parallèle sur la vélocité de patch.
Si tu es RSSI dans un OIV ou OSE français (énergie, télécoms, transport)
Choix 1 — liste d’attente — immédiatement. La transposition NIS2 et les guides ANSSI sur les OIV sont en interprétation mouvante du « état de l’art » — la participation coalition Glasswing est la documentation la plus propre que tu travailles à l’état de l’art. Le Choix 2 est hors-jeu pour raisons de conformité.
Ce que ce tableau de décision ne peut pas te dire
Il ne peut pas te dire si Mythos GA sort vraiment en juillet. Anthropic a déjà bougé des dates de roadmap. Planifie avec possibilité de retard 30-60 jours.
Il ne peut pas te donner des prix. Anthropic n’a pas révélé les prix de Claude Security. Planifie pour une structure typique Anthropic basée sur l’usage avec licence plancher par seat.
Il ne peut pas remplacer le consultant en conformité NIS2 et AI Act. Ce tableau est de l’heuristique d’achat, pas du conseil juridique réglementaire. Une fois la décision prise, passe la formulation de clause par ton équipe conformité interne.
La conclusion
Project Glasswing n’est pas la dixième annonce Mythos — c’est la première chiffrée. 10 000 vulnérabilités, 90,6 % vrais positifs, des mainteneurs qui demandent du rythme. Ça change le standard de diligence. Prends la décision au T3, pas au T4.
Si tu construis le muscle sécurité IA dans ton équipe — du threat model au vendor risk à la conformité réglementaire — notre Cybersécurité IA parcourt la discipline end-to-end pour les RSSI français.
Sources
- Project Glasswing : An initial update — Anthropic, 22 mai 2026
- UK AI Security Institute — Évaluation cyber Claude Mythos
- Forrester — Project Glasswing : les 10 conséquences dont personne ne parle encore
- ANSSI — Guides sécurité OIV et SecNumCloud
- Korben — Analyse Project Glasswing et stack AppSec
- Journal du Geek — IA et cybersécurité en France
- Numerama — DORA et conformité IA pour le secteur financier
